主动Web漏洞扫描中的场景技术研究

ＣＮ４３－１２５８／ＴＰｌＳＳＮ１００７－１３０Ｘ

计算机工程与科学

ＣＡ）ＭＰＵＴＥＲＥＮＧＩＮＥＥＲＩＮＧ＆ＳＣＩＥＮＣＥ

２０１０年第３２卷第３期

Ｖ０１．３２，Ｎｏ．３，２０１０

■■——一ＩＩＩＩＩＩＩＩ■●——●—●——●—●●—■—————■—■■●●■—■—●■■—■■—■—■■—■■■■■■■■—●—■■—■■■■■●—●——●■●■●—■——●文章编号：１００７—１３０Ｘ（２０１０）０３—００３１—０４

主动Ｗｅｂ漏洞扫描中的场景技术研究

ＲｅｓｅａｒｃｈｏｎｔｈｅＳｃｅｎａｒｉｏｏｆｔｈｅＡｃｔｉｖｅ

ＳｃａｎｎｉｎｇｏｆＷｅｂＶｕｌｎｅｒａｂｉｌｉｔｙ

余杰１。李舟军２，张狮斌３，李强２

ＹＵＪｉｅＩ。ＬＩｚｈｏａ－ｊ耐。ＺＩｔＡＮＧ

Ｙａ－ｂｉｎ９３，ＬＩ懈

（１．国防科学技术大学计算机学院。湖南长沙４１００７３；２．北京航空航天大学计算机学院，北京１０００８３；

３．中国信息安全产品测评认证中心，北京１０００８９）

（１．ＳｃｈｏｏｌｏｆＣｏｍｐｕｔｅｒＳｃｉｅｎｃｅ。ＮａｔｉｏｎａｌＵｎｉｖｅｒｓｉｔｙｏｆＤｅｆｅｎｓｅＴｅｃｈｎｏｌｏｇｙ，Ｃｈａｎｇｓｈａ４１００７３；

２．ＳｃｈｏｏｌｏｆＣｏｍｐｕｔｅｒＳｃｋｎｃｅａｎｄＥｑ；ｉｌ均耐ｎｇ。ｎｅｉｈａｎｇＵｎｉｖｅｒｓｉｔｙ。ｎｅｉｊｉｎｇ１０００８３；

３．ＣｈｉｎａＩｎｆｏｒｍａｔｉｏｎＴｅｃｈｎｏｌｏｇｙＳｅｃｅｒｉｔｙＣｅｒｔｉｆｉｃａｔｉｏｎＣｅｎｔｅｒ．Ｂ嘶ｊｎｇ１０００８９－Ｃｈｉｎ）

摘要：当前，主要的开源Ｗｅｂ漏洞扫描工具如Ｎｉｋｔｏ、Ｎｅｓｓｕｓ等都存在误报率与漏报率较高、评估不准确、扫描效率较低等问题。本文对漏洞扫描过程进行建模，在传统的基于配置的扫描策略上，提出了一种基于场景的扫描策略。使用场景树描述漏洞场景，并给出了场景树的构建及维护策略。最后，以Ｎｉｋｔｏ的漏洞数据库为例，示范了如何将多条漏洞用例转化为场景树描述。使用漏洞场景扫描策略可以提高扫描效率，减小误报率，提高评估的准确度。

Ａｂｓｔｒａｃｔ：Ｒｅｃｅｎｔｌｙ，Ｗｅｂｖｕｌｎｅｒａｂｉｌｉｔｙｓｃａｎｎｉｎｇｈａｓａｎｉｍｐｏｒｔａｎｔｒｏｌｅｉｎｎｅｔｗｏｒｋｓｅｃｕｒｉｔｙ．Ｈｏｗｅｖｅｒ，ｔｈｅｍｏｓｔｐｏｐｕｌａｒｏｐｅｎ－ｓｏｕｒｃｅｗｅｂｖｕｌｎｅｒａｂｉｌｉｔｙｓｃａｎｎｅｒｓ．ｓｕｃｈａｓＮｉｋｔｏ，Ｎｅｓｓｕｓ，ｅｔｃ．，ｈａｖｅｂｅｅｎｃｒｉｔｉｃｉｚｅｄｆｏｒｔｈｅｉｒｈｉｇｈｆａｌｓｅａｌａｒｍｓ，ｉｎａｃ—ｃｕｒａｔｅｅｖａｌｕａｔｉｏｎａｎｄｌＯＷｓａｎｎｉｎｇｅｆｆｉｃｉｅｎｃｙ．Ｉｎｔｈｉｓｐａｐｅｒ，ｔｈｅｐｒｏｃｅｓｓｏｆｖｕｌｎｅｒａｂｉｌｉｔｙｓｃａｎｎｉｎｇｉｓｍｏｄｅｌｅｄａｃｃｕｒａｔｅｌｙａｎｄａｎｅｗｓｃｅｎａｒｉｏ－ｂａｓｅｄｓｃａｎｎｉｎｇｓｔｒａｔｅｇｙｉｓｐｒｅｓｅｎｔｅｄ．Ｖｕｌｎｅｒａｂｉｌｉｔｙｓｃｅｎａｒｉｏｉｓｄｅｓｃｒｉｂｅｄｂｙａｓｃｅｎａｒｉｏｔｒｅｅ．Ｔｈｅａｌｇｏｒｉｔｈｍｓｏｆｈｏｗｔｏｃｏｎｓｔｒｕｃｔａｎｄｍａｉｎｔａｉｎｓｃｅｍｒｉｏｔｒｅｅｓｉｎｖｕｌｎｅｒａｂｉｌｉｔｙｄａｔａｂａｓｅｓａｒｅａｌｓｏｐｒｏｐｏｓｅｄ．Ｆｉｎａｌｌｙ，ｗｅａｎａｌｙｚｅｔｈｅｖｕｌｎｅｒａｂｉｌ—ｉｔｙ

ｄａｔａｂａｓｅｏｆＮｉｋｔｏａｎｄｄｅｍｏｎｓｔｒａｔｅｈｏｗｔＯｃｏｎｓｔｒｕｃｔａｓｃｅｎａｒｉｏｔｒｅｅｕｓｉｎｇｉｔｓｖｕｌｎｅｒａｂｉｌｉｔｙｒｅｃｏｒｄｓ．Ｗｅｐｒｏｖｅａｎｄｖａｌｉｄａｔｅ

ｔｈａｔｔｈｅｓｃｅｎａｒｉｏ－ｂａｓｅｄｓｃａｎｎｉｎｇ

ｓｔｒａｔｅｇｙＣａｎｉｍｐｒｏｖｅｔｈｅｅｆｆｉｃｉｅｎｃｙａｎｄｖｅｒａｃｉｔｙｏｆｖｕｌｎｅｒａｂｉｌｉｔｙｓａｎｎｉｎｇ．关键词：网络安全；漏洞扫描；基于场景的扫描策略；场景树

Ｋｅｙｗｏｌｒｄｓ：ｎｅｔｗｏｒｋｓｅｃｕｒｉｔｙ；ｖｕｌｎｅｒａｂｉｌｉｔｙｓｃａｎｎｉｎｇ；ｓｃｅｎａｒｉｏ－ｂａｓｅｄｓｃａｎｎｉｎｇｓｔｒａｔｅｇｙ；ｓｃｅｎａｒｉｏｔｒｅｅ

ｄｏｉ：１０．３９６９／ｊ．ｉｓｓｎ．１００７—１３０）（．２０１０．０３．００９

中图分类号：ＴＰ３９３．０８文献标识码：Ａ

１引言

Ｉｎｔｅｒｎｅｔ的迅速发展得益于ｗｅｂ的出现和发展。目前，ｗｅｂ应用主要面临如下安全问题：计算机软件的设计与实现漏洞；ＴＣＰ／ＩＰ协议设计时未充分考虑其安全性；系统和网络使用过程中的错误配置与操作［１］。安全管理人员尽早发现和修补系统漏洞是预防攻击的重要措施。传统的白盒测试和黑盒测试技术主要测试Ｗｅｂ应用的功能和正确性，无法保证其安全性。学术界和工业界的研究人员花费了大量的资源来研发ｗｅｂ应用安全扫描工具［２］，如软件自动测试平台、Ｗｅｂ漏洞扫描器等。

漏洞也叫脆弱性（Ｖｕｌｎｅｒａｂｉｌｉｔｙ），是计算机系统在硬件、软件和协议的具体实现或系统安全策略上存在的缺陷和不足，非法用户可利用系统安全漏洞获得计算机系统的额外权限，在未经授权的情况下进行访问或提高其访问权限，破坏系统，危害计算机安全。按照漏洞对系统产生影响的方式，Ｗｅｂ应用程序漏洞可分为以下七类：ＳＱＬ注入漏

－收稿日期：２００８—０９—１５；修订日期：２００８—１２一１０

鬈金项目：国家自然科学基金资助项目（６０４７３０５７。６０５７３０５７，９０６０４００７，９０７１８０１７）；博士学科点专项科研基金资助项目作者简介：余杰（１一），男，重庆人，博士生。研究方向为网络安全与测量；李舟军，博士，教授，博导

师

，

研

究

方

向

为

高

可

信

软

．

９

８

２

．士ｔｔ件理论与技术，网络与信息安全、数据与文本挖掘技术．。．

Ａ遍ｄ讯ｄｒ地ｅｓｓ驾Ｂ’４ｒｉ９１０ａｄ０７ｅ；鬻Ｓｃ南ｈｏ省ｏｌ长ｏｆ沙Ｃ市ｏｍ国ｐｕ防ｔｅ科ｒ学Ｓｃ技ｉｅｎ术ｃｅ大Ｎ学ａｔｉ计ｏｎ算ａｌ机Ｕ学ｎｉｖ院ｅｒｓ７ｉｔ队ｙｏ；ＴｆＤｅｌｅ以ｆｅ５２ｎｓｌｏｅＴ８３ｅ２ｃｈ８ｎ６０６１５０Ｅ。ｇｙ发Ｃ“ｈ：ａ如ｎｇ＠ｓｈｎａ踏ｕｅｄｎａ“ｎ饥４１００７３．Ｐ．ＲＣｈ?ｉｎａ：７，，

，Ｈ－．Ｒ

万方数据